這個Spring Security圖是什么意思？

Question

我正在為獲得Spring Core認證而學習，但是還有一些關於將Spring Security圖表的含義與文檔相關聯的信息：

它解釋了Spring Security項目的體系結構及其組件之間的交互，但是究竟是什么意思呢？

它顯示了一個Authentication Manager組件，閱讀了我發現它可以處理來自框架其他部分的身份驗證請求的文檔，因此我認為它提供了類似接口的界面，並帶有一些執行身份驗證操作的方法，該接口將被實現。由提供的特定身份驗證（根據身份驗證技術選擇）

這意味着身份驗證管理器將填充安全上下文 。 Spring中的“安全上下文”到底是什么？ 它是在“地方”存儲與委托人有關的信息（例如，在Web應用程序上通過身份驗證的用戶）以及此委托人在受保護資源上的授權列表嗎？ （例如，已登錄的用戶以及該用戶可以在受保護的資源上執行哪些操作？）是正確的還是缺少什​​么？

然后，有一個安全攔截器 ，我認為它必須是一個代理類，它使用類似事前通知 AOP機制的某種方法來執行安全建議，而該通知機制需要特定的聯合點。 聯合點是對受保護資源的操作（例如，在受保護bean上執行的方法）。

看圖片，我認為代理從包含主體（登錄用戶）及其授權（該登錄用戶可以進行哪些操作）的安全上下文中獲取此信息，因此它可以創建之前建議以檢查此操作。 是對的還是我錯過了什么？

什么代表AccessDecision Manager組件？ 選民在圖片中看到了什么？

TNX

Answer 1

• 安全上下文包含有關當前用戶的安全信息（名稱，登錄名，特權...）。 它綁定到當前線程和會話https://stackoverflow.com/a/6408377/280244

• 當用戶登錄安全上下文時，身份驗證管理器將放置（ 填充 ）有關用戶的安全信息。

• 安全攔截器（方法或Http請求）將在調用調用受保護/受保護的資源之前對其進行攔截。 它從安全上下文中獲取有關當前用戶的信息。 可以通過某種配置（xml，注釋等）獲得允許調用的規則。 當前用戶與所需規則匹配的決策將委派給訪問決策管理器

• 訪問決策管理器不自行執行目標規則，而是使用（不同的） 投票者對授予的訪問，拒絕的訪問（或棄權）進行投票。

@see： Spring安全性參考：第13章授權架構